הגעה לעמוד הניהול של הנתב דרך VPN, לא דרך ה-WAN

עמוד הניהול של הנתב נפתח בשתי שניות מהספה ופג תוקף מחדר במלון, בעוד לקוח ה-VPN מדווח כל הזמן שהוא מחובר. מה שיש לך הוא דרך החוצה, לא דרך חזרה: המנהור נושא את התעבורה שלך לאינטרנט ונעצר שם. כדי להגיע להתקן בתוך ה-LAN שלך דרוש הפעלה שמסתיימת במשהו שיש לו נתיב לשם. זו החלטת תכנון, לא הגדרה, והיא קובעת אם שאר העבודה אפשרית בכלל.

קל לאבד את ההבחנה הזו מפני שמוצר אחד יכול לעשות את שתי העבודות. לקוח יציאה מסחרי ושרת גישה מרחוק יכולים לדבר באותו פרוטוקול באותו פורט, וההבדל הוא איזה צד מחזיק במרחב הכתובות שמאחורי נקודת הקצה.

איזה צד של המנהור מחזיק ב-LAN

לצורכי ניהול נקודת הקצה חייבת לשבת בתוך הרשת שאליה אתה רוצה להגיע, או להחזיק בנתיב מורשה אליה. נתב שמריץ שרת VPN משלו עומד בכך; גם מארח קטן שפועל תמיד עם כתובת קבועה ונתיב אל ה-LAN. שירות יציאה המופעל בידי צד שלישי אינו עומד בכך, כי לנקודת הקצה שלו אין ממשק ב-LAN שלך ואין כלל שיאפשר כזה להופיע. זהו הבדיקה שצריך להשלים לפני שנוגעים בכל דבר אחר.

קושחה ממעטת לסמן את ההבדל הזה, אז קרא מה התכונה עושה ולא איזה פרוטוקול היא מזכירה. WireGuard, OpenVPN ו-IKEv2 מופיעים כולם בשני צדי השוק: גרסה אחת שולחת תעבורת בית החוצה, אחרת מקבלת את ההתקן המרוחק שלך. גרסת לקוח בלבד אינה ניתנת להפיכה לשרת באמצעות תצורה, יהיה נוסח התפריט אשר יהיה.

ליצור את נתיב החזרה

לשרת WireGuard על הנתב יש כתובת ממשק כמו 10.8.0.1/24 ורשומת עמית למחשב הנייד. הלקוח מחליט אילו יעדים יישלחו למנהור, ורשימה שמכילה רק את תת-הרשת של המנהור משאירה את ה-LAN בלתי נראה, יהיה השרת מוגדר איך שיהיה. שני הקצוות חייבים להסכים, ובדרך כלל רק אחד מהם נערך.

wg show wg0 allowed-ips
ip route get 192.168.1.1

הפקודה הראשונה מדווחת מה כל עמית רשאי לשלוח מנקודת המבט של השרת; השנייה מדווחת לאן כתובת LAN אכן תגיע בלקוח. יעד LAN שנפתר לממשק המנהור הוא ניתוב שעובד, וזה שיוצא דרך השער הפיזי לעולם לא יגיע, יאמר חומת האש מה שיאמר. הוסף את קידומת ה-LAN לרשימת המורשים של הלקוח, ושאותן שתי פקודות יהפכו משלב אבחון לשלב אימות.

אותה קפיצה עבור שערי IPsec מתוארת ב תיעוד ההעברה של strongSwan, שבו העברה וכלל source-NAT הם מה שמחבר לקוח מנהור למארח פנימי. המיעון שונה; הדרישה לא.

מי רשאי לפתוח את עמוד הניהול

בקרת גישה שייכת לנתב, לא לכוונה להיות זהיר. התר רק לזהות המנהור המאומתת או לטווח המקור שזקוק לעמוד, וקרא את שרשרת הקלט של הנתב עצמו וכן כל מדיניות LAN מועברת. כלל שמאפשר ל-LAN החוטי להגיע לעמוד הניהול אינו אומר דבר על לקוח שמגיע בממשק המנהור. כתוב את החריג עבור זהות מסוימת, ואז החזק זהות שנייה שאמורה להידחות.

המאזין הוא החצי השני והוא בלתי נראה בפלט חומת האש. ss -ltnp מציג את הכתובת שאליה שרת האינטרנט כבול, ושירות הכבול רק לכתובת ה-LAN לא יענה בכתובת המנהור, יהיו הכללים מתירניים ככל שיהיו. כבילה מחדש או הוספת כתובת היא שינוי תצורה בנתב, לא שינוי בחומת האש.

השאר אימות ואימות תקינות תעבורה דלוקים באותה מעבר. הגעה אינה אמון, וכל התקן בתוך מנהור אינו הופך בכך למנהל. אישורי המנהור וחשבון הנתב הם הרשאות נפרדות עם מחזורי חיים נפרדים, כך שאפשר לבטל מפתח של מחשב נייד שאבד בלי לאפס את הסיסמה של כל מנהל.

לבדוק מבחוץ, לא מהספה

בדוק מרשת שאינך שולט בה. התחבר דרך המנהור המאושר, פתח הפעלת ניהול חדשה ושנה משהו בלתי מזיק שאתה רואה משתקף בעמוד. מהספה אתה מוכיח שה-LAN עובד, מה שמעולם לא היה מוטל בספק.

אחר כך בדוק את הדחיות באותה זהירות. נסה את העמוד בלי המנהור וודא שהוא נכשל, וודא ששירות הניהול אינו מאזין כלל בכתובת ה-WAN. עמוד שרק אינו מקושר אינו בקרת גישה, ומאזין ב-WAN שמציג טופס התחברות הוא עדיין מאזין ב-WAN. אם סיסמה היא הדבר היחיד בין האינטרנט לקונסולה של הנתב, התכנון הוא סיסמה.

שירותי הבית ראויים למבט כשאתה שם. החמרת כללי ניהול שוברת לעתים קרובות את רשת האורחים או את הפותר שהתקני המשפחה משתמשים בו, וזה עולה לפני השטח ימים לאחר מכן כתלונה לא קשורה.

לשמור דרך חזרה בזמן שאתה משנה דברים

לפני שינוי נתיבים או הגדרות מנהור מרחוק, הכן דרך חזרה עצמאית. הפעלה קיימת יכולה לשרוד את השינוי שכבר חוסם חיבורים חדשים, וכך בדיוק אנשים נועלים את עצמם בחוץ בזמן שהם צופים בהפעלה שעדיין עובדת. האפשרויות קונקרטיות: אתחול מתוזמן לתצורה ידועה, גישה דרך קונסולה או פיזית, מנהור שני שאינו תלוי בהגדרה הנערכת, או ניהול מחוץ לפס היכן שהחומרה מציעה אותו. בחר אחת והוכח אותה לפני חלון התחזוקה, לא במהלכו.

שמור את התיעוד קצר ועדכני: איזה מארח מסיים את המנהור, אילו זהויות מגיעות לעמוד, לאיזו כתובת השירות כבול, ואיך מבטלים התקן שאבד. הרשימה הזו משמשת גם כתוכנית התאוששות, כי היא אומרת היכן כל תלות חיה. נתיב חזרה חסר הוא בעיית ניתוב לתיקון, והיא לעולם אינה סיבה לפרסם ניהול ב-WAN.